2026年网络安全与信息保护考试试卷及答案

2026年网络安全与信息保护考试试卷及答案一、单项选择题（每题1分，共20分）1.信息安全的核心三元组（CIA模型）不包含以下哪项基本属性？A.机密性B.完整性C.可用性D.不可抵赖性答案：D解析：CIA三元组是信息安全的核心基础，包括机密性（Confidentiality）、完整性（Integrity）、可用性（Availability），不可抵赖性属于扩展安全属性。2.攻击者利用生成式AI批量生成高仿真的钓鱼邮件，绕过传统规则检测，这类攻击属于以下哪种钓鱼攻击新形态？A.鱼叉式钓鱼B.捕鲸式钓鱼C.智能钓鱼（AIPhishing）D.水坑攻击答案：C解析：智能钓鱼依托大语言模型生成高度个性化、无明显特征的钓鱼内容，可有效绕过传统基于关键词、规则的检测系统；鱼叉式钓鱼针对特定目标定向投放，捕鲸式钓鱼针对企业高管等高端目标，水坑攻击通过攻陷目标常访问的网站投放恶意代码。3.我国自主研发的商用密码算法中，属于非对称加密算法的是？A.SM2B.SM3C.SM4D.祖冲之算法（ZUC）答案：A解析：SM2是椭圆曲线非对称加密算法，SM3是密码哈希算法，SM4是分组对称加密算法，ZUC是面向移动通信的流密码算法。4.零信任安全架构的核心原则是？A.默认信任内部网络用户B.永不信任，始终验证C.基于物理边界的访问控制D.一次身份验证即可访问全部资源答案：B5.根据2024年施行的《网络数据安全管理条例》，以下哪类数据不属于国家核心数据范畴？A.关系国家安全的重要数据B.关系国民经济命脉的重要数据C.关系重大公共利益的重要数据D.企业内部经营数据答案：D解析：核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的最高级别数据，企业内部经营数据不属于核心数据范畴。6.网络安全等级保护（等保2.0）将网络安全保护等级分为几级？A.3级B.4级C.5级D.6级答案：C7.根据《个人信息保护法》，以下不属于敏感个人信息的是？A.生物识别信息B.宗教信仰信息C.工作单位信息D.医疗健康信息答案：C解析：敏感个人信息是一旦泄露或非法使用，易导致自然人人格尊严受损或人身、财产安全受危害的信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等；工作单位信息通常不属于敏感个人信息。8.攻击者通过遍历API接口的数值型ID参数，批量获取其他用户的敏感数据，这类攻击属于？A.SQL注入B.不安全的直接对象引用（IDOR）C.跨站脚本攻击（XSS）D.命令注入答案：B解析：IDOR属于失效的访问控制范畴，攻击者通过修改请求中的对象引用标识（如订单ID、用户ID），绕过服务端权限校验访问未授权数据。9.在云计算服务模式中，IaaS模式下用户需要承担的安全责任不包括？A.操作系统安全B.应用程序安全C.物理基础设施安全D.数据安全答案：C解析：IaaS（基础设施即服务）模式下，云服务商负责物理基础设施、虚拟化层的安全，用户负责操作系统、中间件、应用程序、数据等上层内容的安全。10.按照PDCERF应急响应生命周期模型，网络安全应急响应的第一个阶段是？A.检测与分析B.遏制C.准备D.根除答案：C解析：PDCERF模型的阶段顺序为：准备（Preparation）、检测（Detection）、遏制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪（Follow-up），准备阶段是应急响应的前置基础。11.数据中心机房通常采用以下哪种气体灭火系统？A.二氧化碳B.七氟丙烷C.气溶胶D.干粉答案：B解析：七氟丙烷灭火效率高、无残留、对电子设备无腐蚀损害，是数据中心机房的主流选择；二氧化碳易导致人员窒息，气溶胶残留可能损坏精密设备，干粉会造成电子元件永久性污染。12.以下属于多因素身份认证（MFA）组合的是？A.密码+图形验证码B.指纹+人脸C.密码+U盾D.门禁卡+工牌答案：C解析：多因素认证要求至少使用两种不同类别的认证因子：知识因子（你知道的，如密码）、持有因子（你拥有的，如U盾、手机）、生物因子（你是的，如指纹）。选项C结合了知识因子和持有因子，属于典型的双因素认证。13.数据安全生命周期的最后一个阶段是？A.存储B.使用C.传输D.销毁答案：D14.勒索软件攻击者不仅加密受害者数据、窃取数据威胁公开，还对受害者的供应链伙伴、客户发起胁迫攻击，这类攻击模式被称为？A.双重勒索B.三重勒索C.勒索即服务（RaaS）D.加密挖矿答案：B解析：双重勒索是“加密+窃密威胁公开”的模式，三重勒索在此基础上增加对受害者上下游、客户等第三方的胁迫，进一步提升勒索成功率；RaaS是勒索软件的服务化售卖模式，与攻击模式无关。15.以下关于Wi-Fi安全协议WPA3的说法，错误的是？A.支持对等实体同时验证（SAE）协议B.能够有效防御离线字典攻击C.相比WPA2增强了开放网络下的用户数据隔离D.仅支持5GHz频段答案：D解析：WPA3是安全协议标准，与工作频段无关，2.4GHz和5GHz频段均支持WPA3；A、B、C均为WPA3相对WPA2的核心升级特性。16.通用网络安全风险评估模型中，风险值的计算公式通常为？A.风险=威胁×脆弱性B.风险=资产价值×威胁×脆弱性C.风险=资产价值×漏洞D.风险=威胁×影响答案：B17.根据等保2.0相关要求，第三级网络安全等级保护对象的等级测评周期至少为？A.每半年一次B.每年一次C.每两年一次D.每三年一次答案：B解析：等保2.0规定，第三级及以上等级保护对象每年至少开展一次等级测评，第二级等级保护对象每两年至少开展一次等级测评。18.攻击者通过向大语言模型的训练数据中注入恶意标注的样本，诱导模型在推理阶段生成有害内容，这类攻击属于？A.提示注入攻击B.数据投毒攻击C.模型窃取攻击D.成员推断攻击答案：B解析：数据投毒是针对AI模型训练阶段的攻击，通过污染训练数据破坏模型的行为逻辑；提示注入是针对推理阶段的攻击，通过构造特殊提示绕过安全对齐机制。19.根据我国数据出境相关规定，以下哪种情形的数据出境不需要申报数据出境安全评估？A.关键信息基础设施运营者出境重要数据B.处理100万人以上个人信息的个人信息处理者出境个人信息C.企业出境自身非敏感经营数据且数量低于国家规定阈值D.出境国家核心数据答案：C解析：根据《数据出境安全评估办法》，核心数据出境、关键信息基础设施运营者出境重要数据、处理100万人以上个人信息的处理者出境个人信息等法定情形需主动申报安全评估，低于阈值的非敏感一般数据出境无需申报。20.漏洞管理流程的核心环节顺序正确的是？A.发现-修复-验证-评估B.发现-评估-修复-验证C.评估-发现-修复-验证D.发现-修复-评估-验证答案：B解析：标准化漏洞管理流程为：漏洞发现（扫描、监测、上报）→漏洞评估（定级、研判风险、优先级排序）→漏洞修复（补丁安装、缓解措施落地）→漏洞验证（确认修复效果、闭环归档）。---二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.按照OSI安全框架的分类，以下属于网络被动攻击的有？A.消息内容泄露B.流量分析C.数据篡改D.拒绝服务攻击E.重放攻击答案：AB解析：被动攻击的核心特征是不修改目标数据、不主动与目标系统交互，仅通过监听、分析获取信息，包括消息内容泄露、流量分析两类；C、D、E均属于主动攻击，会对系统或数据的完整性、可用性造成破坏。2.以下属于我国自主研发的商用密码算法的有？A.SM2B.RSAC.SM3D.SM4E.祖冲之算法（ZUC）答案：ACDE解析：RSA是国外发明的非对称加密算法，SM2、SM3、SM4、ZUC均为我国国家密码管理局发布的自主商用密码算法。3.零信任安全架构的核心组成要素包括？A.身份管理与访问控制（IAM）B.持续信任评估C.最小权限原则D.边界防火墙E.微隔离答案：ABCE解析：零信任架构以身份为核心基石，强调持续验证、最小权限、微隔离，打破了传统边界安全模型的“默认内网可信”逻辑；边界防火墙是传统边界安全模型的核心设备，不属于零信任的核心要素。4.根据《个人信息保护法》，个人信息处理应当遵循的原则有？A.合法、正当、必要原则B.公开透明原则C.最小必要原则D.质量保证原则E.安全保障原则答案：ABCDE解析：《个人信息保护法》明确规定了个人信息处理的核心原则，包括合法正当必要、公开透明、最小必要、质量保证、安全保障，以及诚信原则。5.等保2.0的技术要求体系覆盖以下哪些维度？A.物理与环境安全B.网络与通信安全C.设备与计算安全D.应用与数据安全E.安全管理中心答案：ABCDE解析：等保2.0技术体系遵循“一个中心、三重防护”架构，覆盖物理与环境安全、网络与通信安全、设备与计算安全、应用与数据安全，以及安全管理中心五个维度。6.OWASPTop102021版中包含以下哪些常见Web安全风险？A.失效的访问控制B.注入攻击C.安全配置错误D.易受攻击和过时的组件E.识别与认证失效答案：ABCDE解析：OWASPTop102021版的十大风险包括：失效的访问控制、加密机制失效、注入、不安全的设计、安全配置错误、易受攻击和过时的组件、识别与认证失效、软件和数据完整性失效、安全日志和监控失效、服务器端请求伪造（SSRF）。7.网络安全应急响应的遏制阶段，可采取的合理措施有？A.切断受感染主机的网络连接B.临时关闭被利用的服务端口C.全面打补丁修复所有漏洞D.下线被攻陷的恶意控制节点E.完整备份受感染系统的取证数据答案：ABD解析：遏制阶段的核心目标是阻止攻击扩散、降低现有损失，包括切断感染源、关闭利用端口、下线恶意节点等；C属于根除阶段措施，E属于检测与取证阶段措施。8.根据生成式人工智能治理相关规定，生成式AI服务提供者应当履行的安全义务有？A.生成内容标识B.训练数据合规C.算法备案D.用户实名认证E.生成内容永久存储答案：ABCD解析：根据《生成式人工智能服务管理暂行办法》，服务提供者需履行训练数据合规、算法备案、生成内容标识、用户实名认证、个人信息保护等义务；E选项“永久存储”违反数据最小化和存储期限最小原则，不属于法定要求。9.根据《数据安全法》，我国数据安全分级包括以下哪几级？A.一般数据B.重要数据C.核心数据D.敏感数据E.绝密数据答案：ABC解析：《数据安全法》将数据分为一般数据、重要数据、核心数据三级，核心数据是最高保护等级；敏感数据是按数据敏感度的分类，不属于法定分级范畴，绝密是国家秘密的密级。10.物联网（IoT）设备面临的常见安全风险有？A.弱口令问题普遍B.固件更新机制缺失C.计算资源不足难以部署传统防护D.数据传输加密不足E.设备规模大难以统一管理答案：ABCDE解析：物联网设备普遍存在硬件资源有限、出厂默认弱口令、固件更新不及时、传输未加密、设备数量大分散化管理难度高等共性安全风险，是当前网络攻击的重点目标。---三、判断题（每题1分，共10分）1.虚拟专用网络（VPN）的核心作用是通过公用网络建立安全的加密通信隧道。答案：正确2.防火墙能够有效防御来自网络内部的攻击行为。答案：错误解析：防火墙主要部署在网络边界，用于实现边界访问控制，难以防御内部网络发起的攻击，这是传统边界安全模型的核心缺陷。3.密码哈希算法具有单向性，即无法从哈希值反推原始明文数据。答案：正确4.网络安全等级保护制度仅适用于政府机关和国有企业的信息系统。答案：错误解析：等保制度适用于我国境内建设、运营、维护、使用网络的所有主体，包括民营企业、事业单位、社会团体等，并非仅针对政府和国企。5.经过匿名化处理的个人信息，不再属于个人信息范畴。答案：正确解析：根据《个人信息保护法》，匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程，匿名化后的信息不属于个人信息，不受个人信息保护法规制。6.定期备份数据是防御勒索软件攻击的最有效手段之一。答案：正确7.零信任安全架构的核心是完全不信任任何主体，默认拒绝所有访问请求。答案：错误解析：零信任的核心是“永不信任，始终验证”，即不对任何主体（包括内部用户）授予默认信任，需通过持续身份与环境验证后，授予最小必要的访问权限，而非直接拒绝所有请求。8.根据我国现行著作权法，由人工智能自动生成的内容均不享有著作权。答案：错误解析：我国司法实践明确，由自然人主导创作、体现创作者独创性表达的AI生成内容，可以依法享有著作权，并非所有AI生成内容均不具备著作权。9.漏洞扫描工具能够发现系统所有的已知和未知漏洞。答案：错误解析：漏洞扫描工具主要基于特征库匹配发现已知漏洞，无法识别未公开的0day漏洞（未知漏洞）。10.数据备份的3-2-1原则是指保存3份数据副本、使用2种存储介质、其中1份异地存放。答案：正确---四、简答题（每题5分，共20分）1.简述网络安全等级保护2.0相对1.0的核心升级特征。答案：（1）覆盖范围扩大：从传统信息系统扩展到云计算、大数据、物联网、移动互联、工业控制等新技术新应用场景；（2）架构体系升级：提出“一个中心、三重防护”的纵深防御架构，强化安全管理中心的统一管控作用；（3）防护理念转变：从被动合规转向主动防御，增加态势感知、威胁监测、应急响应等主动防护要求；（4）持续合规要求：明确定期测评、风险评估的常态化机制，确保持续符合安全要求；（5）管理技术并重：完善安全管理体系要求，强化主体责任落实，实现技术与管理的协同防护。（每点1分，答出5点即可得满分）解析：等保2.0是我国网络安全领域的核心基础制度，升级核心是适配数字化转型下的新安全需求，构建动态、主动、纵深的防御体系。2.根据《个人信息保护法》，简述个人信息主体享有的核心权利。答案：（1）知情权：了解个人信息的处理目的、方式、范围等情况；（2）决定权：自主决定是否同意处理其个人信息，有权撤回同意；（3）查阅复制权：查阅、复制自身的个人信息；（4）更正补充权：要求个人信息处理者更正不准确、不完整的个人信息；（5）删除权：在法定情形下（如同意撤回、目的已实现等）要求删除其个人信息；（6）可携带权：要求将个人信息转移至指定的其他个人信息处理者。（每点1分，答出5点即可得满分）解析：个人信息主体权利是《个人信息保护法》的核心内容，本质是保障自然人对其个人信息的自主控制权。3.简述针对勒索软件攻击的主要防御措施。答案：（1）数据备份与恢复：落实3-2-1备份策略，定期验证备份数据可用性，离线备份核心数据，这是抵御勒索攻击的最后防线；（2）入口防护：部署邮件安全网关、Web应用防火墙、终端检测与响应（EDR）系统，阻断钓鱼邮件、漏洞利用等攻击入口；（3）漏洞管理：及时更新操作系统、应用程序的安全补丁，关闭不必要的端口和服务，减少攻击面；（4）访问控制：落实最小权限原则，限制普通用户的管理员权限，通过网络微隔离阻断攻击横向扩散；（5）意识培训：定期开展员工安全意识培训，提升对钓鱼邮件、恶意链接的识别能力。（每点1分，合理即可得分）解析：勒索软件防御需构建“事前预防、事中检测、事后恢复”的全流程纵深防御体系，核心是降低攻击成功率、保障数据可恢复性。4.简述生成式人工智能（AIGC）应用面临的主要安全风险。答案：（1）内容安全风险：可批量生成虚假信息、暴力色情、违法违规等有害内容，冲击内容治理体系；（2）数据安全风险：训练数据可能包含未授权的个人信息或商业秘密，提示注入攻击可诱导模型泄露敏感数据；（3）算法安全风险：数据投毒、模型窃取、算法歧视等攻击可导致模型失效、偏见或知识产权泄露；（4）身份安全风险：深度伪造技术可生成高仿真的音视频内容，用于电信诈骗、身份冒用，破坏社会信任；（5）合规风险：训练数据侵权、生成内容违规、未履行算法备案等义务，可能违反相关法律法规。（每点1分，合理即可得分）解析：生成式AI的安全风险覆盖内容、数据、算法、身份、合规等多个维度，是当前网络安全治理的新兴重点领域。---五、案例分析与综合题（每题10分，共30分）1.案例背景：某中型电商平台在2025年“双11”促销期间遭遇网络攻击，攻击者通过构造特殊URL参数遍历获取了大量用户的订单信息，随后又在商品评价页面插入恶意脚本，导致访问该页面的用户浏览器自动执行恶意代码，窃取用户登录凭证。请结合上述场景回答以下问题：（1）攻击者利用的两类Web安全漏洞分别是什么？（4分）（2）针对这两类漏洞，分别提出至少2项具体的防御措施。（6分）答案：（1）漏洞类型：①不安全的直接对象引用（IDOR，属于失效的访问控制范畴）：攻击者通过修改URL中的订单ID参数，绕过权限校验获取其他用户的订单数据。（2分）②存储型跨站脚本攻击（XSS）：攻击者将恶意脚本提交到商品评价中，页面渲染时脚本在用户浏览器执行，窃取登录凭证。（2分）（2）防御措施：针对IDOR漏洞：①服务端权限校验：对每一个数据访问请求进行服务端权限校验，验证当前用户是否具备访问请求对象的权限，禁止仅依赖前端参数判断权限。（2分）②不可预测标识：将订单ID等敏感对象标识从连续数值型替换为随机字符串（如UUID），大幅提升遍历攻击的难度。（1分，合理即可得分）针对存储型XSS漏洞：①输入过滤：对用户提交的评价内容进行严格的输入校验与过滤，移除或转义危险的HTML、JavaScript标签。（2分）②输出编码：在前端页面渲染用户生成内容时，对特殊字符进行HTML实体编码，防止脚本被浏览器解析执行。（1分，答设置内容安全策略CSP、启用CookieHttpOnly属性等合理措施均可得分）解析：本题考察Web安全高频漏洞的识别与防御，两类漏洞均位列OWASPTop10前列。防御的核心原则是“从不信任用户输入”，所有安全校验必须在服务端落地。2.案例背景：某三甲医院的核心诊疗信息系统承载着患者电子病历、挂号缴费、诊疗记录等敏感数据，该系统已完成等保三级备案，但在2026年的等级测评中发现以下问题：①系统管理员使用统一的共用账号登录服务器，未实现实名身份认证；②患者电子病历数据未采用加密方式存储，仅通过访问控制进行防护；③未设立专门的网络安全管理部门，安全运维工作由信息科技术人员兼职；④近3年未组织过网络安全应急演练，无完善的应急预案。请结合等保2.0相关要求回答以下问题：（1）上述问题分别属于等保2.0技术层面还是管理层面的要求缺失？（4分）（2）针对以上问题逐一提出整改建议。（6分）答案：（1）层面归属：①技术层面（设备与计算安全/身份鉴别要求）；（1分）②技术层面（应用与数据安全/数据保密性要求）；（1分）③管理层面（安全管理机构/岗位设置要求）；（1分）④管理层面（安全运维管理/应急处置要求）。（1分）（2）整改建议：①针对共用账号问题：取消共用管理员账号，为每个运维人员分配唯一的实名账号，启用多因素认证（如密码+U盾）登录核心服务器，同时开启运维操作审计日志，实现操作可追溯。（1.5分）②针对数据未加密问题：采用国密算法对患者电子病历、身份信息等敏感个人信息进行存储加密，同时对数据传输过程启用HTTPS加密，保障数据全生命周期的保密性。（1.5分）③针对安全管理部门缺失问题：成立专门的网络安全管理部门，配备专职安全管理人员，明确网络安全负责人，落实“谁主管谁负责、谁运营谁负责”的责任体系。（1.5分）④针对应急演练缺失问题：制定覆盖勒索攻击、数据泄露、系统中断等场景的应急预案，至少每年组织1次实战化应急演练，根据演练结果优化预案与防护措施。（1.5分）解析：本题考察等保2.0技术与管理要求的落地应用，等保2.0坚持“技术与管理并重”的原则，三级系统需要同时满足技术类和管理类控制要求，构建完整的安全防护体系。医疗行业作为关键信息基础设施重点领域，是等保监管的核心对象。3.案例背景：某互联网企业于2026年初上线了基于大语言模型的智能客服系统，用于处理用户咨询、订单查询等业务。上线后陆续发现以下安全与合规问题：①攻击者通过构造特殊提示词，诱导客服系统泄